Ratgeber

SPF, DKIM und DMARC einrichten

Du willst die Absender deiner E-Mails prüfen? Hier erfährst du, was SPF, DKIM und DMARC tun. Gehe die Schritte mit deiner E-Mail-Betreuung durch.

Prüfung anfragen

Was SPF, DKIM und DMARC tun

SPF legt fest, welche Server deine Domain beim Mailversand nutzen dürfen. Die Regel steht als TXT-Eintrag im DNS. SPF prüft die Domain des technischen Absenders. Das ist nicht zwingend die sichtbare Von-Adresse.

DKIM versieht E-Mails mit einer digitalen Signatur. Der empfangende Server prüft sie mit einem öffentlichen Schlüssel deiner Domain. Die Signatur bezieht sich auf die signierten Teile der Mail.

DMARC führt die Ergebnisse von SPF und DKIM mit der sichtbaren Von-Domain zusammen. Dafür muss mindestens eine Prüfung bestehen. Die dabei geprüfte Domain muss nach den DMARC-Regeln zur Von-Domain passen. Das heißt Alignment. Zudem kannst du mit DMARC Berichte anfordern und Regeln für fehlgeschlagene Prüfungen nennen.

Typische Fehler in den DNS-Einträgen

Mit +all lässt SPF jeden sendenden Server zu, der bis zu dieser Regel kommt. Auch all ohne Vorzeichen bedeutet +all. Lass diesen Eintrag mit deiner Betreuung prüfen.

Mehrere SPF-Einträge für denselben Domainnamen führen zum Fehler permerror. Führe alle berechtigten Versender in einem SPF-Eintrag zusammen.

SPF erlaubt höchstens 10 Mechanismen und Verweise mit DNS-Abfragen pro Auswertung. Dazu zählen etwa include, a, mx und redirect. Verschachtelte Regeln zählen mit. Bei mehr liefert die Prüfung permerror. Es geht um diese Regeln, nicht pauschal um jedes DNS-Paket.

DMARC mit p=none fordert keine besondere Behandlung bei der Zustellung. Es verlangt weder Quarantäne noch Ablehnung. Als Start zur Auswertung kann das passen. Ohne Berichte und deren Auswertung fehlt dir dieser Einblick in den Versand.

So gehst du Schritt für Schritt vor

Sammle zuerst alle Dienste, die Mails mit deiner Domain senden. Denke an Postfächer, Newsletter und Mails deiner Website. Kläre mit jedem Dienst die Vorgaben für SPF und DKIM.

Öffne mit deiner Betreuung die DNS-Verwaltung der Domain. Gleiche den SPF-Eintrag mit den erfassten Diensten ab. Ergänze berechtigte Versender im vorhandenen Eintrag. Lass die Syntax und das Limit für DNS-Abfragen prüfen.

Aktiviere DKIM beim jeweiligen Versanddienst. Trage dessen öffentlichen Schlüssel unter dem vorgegebenen Namen im DNS ein. Der Name enthält den Selektor. Er legt fest, welcher Schlüssel zur Signatur gehört. Lass danach eine Testmail aus jedem Dienst auf eine gültige Signatur prüfen.

Lege den DMARC-Eintrag unter _dmarc deiner Domain an. Starte zur Beobachtung mit p=none und gib mit rua eine Adresse für Berichte an. Kläre, wer diese Berichte liest und Fehler mit den Versanddiensten behebt.

Prüfe mit deiner Betreuung auch das Alignment für alle Dienste. Werte die Berichte aus. Kläre dann den Wechsel zu p=quarantine und später p=reject. Damit bittest du die Empfänger, Mails, die DMARC nicht bestehen, als verdächtig zu behandeln oder abzulehnen. Prüfe nach jedem Schritt, ob gewollte Mails weiter ankommen.

Wann der Webriegel-Check hilft

Du willst wissen, welche Fehler von außen sichtbar sind? Wir prüfen die DNS-Einträge zu SPF und DMARC. Dazu gehören fehlende oder mehrere Einträge, +all und p=none. Der Check ersetzt keine vollständige Auswertung aller verschachtelten SPF-Regeln.

Bei DKIM suchen wir Schlüssel unter bekannten Selektoren. Ein solcher Fund belegt noch keine gültige Signatur deiner Mails. Ein fehlender Fund beweist auch nicht, dass DKIM fehlt. Die Prüfung echter Mails und die Auswertung deiner DMARC-Berichte musst du mit deiner E-Mail-Betreuung klären.

Quellen und Stand

Stand: 3. November 2026. Die Anleitung stützt sich auf diese Quellen.

So läuft dein Check ab

Du fragst mit der Adresse deiner Website an. Dann bestätigst du den Auftrag und zeigst, dass du die Prüfung beauftragen darfst. Wir prüfen von außen, ohne Angriffe und ohne Lasttests. Du bekommst einen Bericht mit Prioritäten und einer Empfehlung zu jedem Befund.

Eine Garantie für vollständige Sicherheit kann keine Prüfung geben. Die Umsetzung kannst du nach dem Bericht gesondert anfragen.

Deine Website prüfen lassen

Der Website-Sicherheitscheck kostet einmalig 200 € zzgl. USt. Das Angebot gilt für Unternehmen. Wir prüfen nur mit deinem Auftrag. Mit der Anfrage beauftragst du noch nichts.

Prüfung anfragen

Häufige Fragen

Reicht SPF allein aus?

SPF prüft den technischen Absender. DMARC bezieht die sichtbare Von-Domain ein. Für DMARC muss SPF oder DKIM bestehen und zur Von-Domain passen. Richte die drei Verfahren mit deiner E-Mail-Betreuung ein.

Ist p=none ein Fehler?

Als Start zur Beobachtung kann p=none passen. Es fordert keine Quarantäne und keine Ablehnung. Fordere Berichte an und werte sie aus. Kläre danach mit deiner Betreuung, wann du die Regel verschärfst.

Beweist ein DKIM-Schlüssel, dass meine Mails signiert sind?

Nein. Ein öffentlicher Schlüssel im DNS und eine gültige Signatur sind zwei verschiedene Prüfschritte. Lass eine echte Mail aus jedem Versanddienst prüfen. Webriegel sucht im Check nach DNS-Schlüsseln unter bekannten Selektoren.